Statut NIS 2 aux Pays-Bas
Les Pays-Bas ont transposé la directive NIS 2 de l'UE par la Cyberbeveiligingswet (Cbw). La loi est arrivée tard et s'applique depuis le 15 août 2026, sans période transitoire.
Vue d'ensemble
Le fondement juridique est la directive NIS 2 de l'UE (2022/2555). Elle fixe le socle des obligations de cybersécurité dans chaque État membre. Les Pays-Bas ont inscrit ce socle en droit national par la Cyberbeveiligingswet (Cbw), qui a remplacé l'ancienne Wbni (Wet beveiliging netwerk- en informatiesystemen) ayant mis en œuvre NIS 1.
Le délai de transposition de l'UE du 17 octobre 2024 a été manqué par les Pays-Bas et par la plupart des États membres, dont l'Allemagne. Le projet de loi néerlandais a fait l'objet d'une consultation publique en 2024, a été soumis à la Tweede Kamer en juin 2025 et a été adopté sous la forme de la loi du 8 juillet 2026 (Staatsblad 2026, 187). La Commission a saisi la Cour de justice de l'UE contre les Pays-Bas le 8 juillet 2026, un mois avant l'entrée en vigueur de la Cbw le 15 août 2026.
La Cbw et son décret d'application, le Cyberbeveiligingsbesluit (Staatsblad 2026, 189), sont entrés en vigueur le 15 août 2026 sans période transitoire, à l'image de la manière dont l'Allemagne a traité le BSIG. La Cbw adoptée, avec la directive de l'UE, est désormais la référence pour cadrer le travail.
Directive de l'UE
Directive (UE) 2022/2555 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l'ensemble de l'Union (NIS 2).
Fixe les obligations de gestion des risques (Art. 21), la notification des incidents (Art. 23), la responsabilité de l'organe de direction (Art. 20) et l'enregistrement des entités (Art. 3(4)). Les États membres doivent transposer en droit national mais ne peuvent pas descendre sous le socle.
Règlement d'exécution de l'UE
Règlement d'exécution (UE) 2024/2690 de la Commission du 17 octobre 2024 (CIR).
Précise en détail à quoi ressemblent les mesures de l'Art. 21 pour les fournisseurs de services DNS, les registres de noms de domaine de premier niveau, les fournisseurs de cloud, de centres de données et de réseaux de diffusion de contenu, les prestataires de services (de sécurité) managés, les places de marché en ligne, les moteurs de recherche, les réseaux sociaux et les prestataires de services de confiance. Directement applicable aux Pays-Bas sans acte national supplémentaire.
Transposition néerlandaise
Cyberbeveiligingswet (Cbw), loi du 8 juillet 2026 (Staatsblad 2026, 187), en vigueur depuis le 15 août 2026 ; elle a remplacé la Wbni.
La Cbw attribue les rôles de surveillance et de CSIRT, définit les entités essentielles et importantes pour les Pays-Bas, et ajoute des spécificités nationales telles que les redevances, les procédures de désignation et les passations sectorielles. Son décret d'application, le Cyberbeveiligingsbesluit (Staatsblad 2026, 189), est entré en vigueur avec elle le 15 août 2026.
Cyberbeveiligingswet (Cbw)
Transpose NIS 2 en droit néerlandais et s'applique depuis le 15 août 2026. Définit les entités essentielles (essentiële) et importantes (belangrijke), fixe les pouvoirs de surveillance, les amendes et les procédures de notification des incidents, et intègre le CIR de l'UE par renvoi.
RDI, régulateurs sectoriels, NCSC-NL
La surveillance est répartie par secteur : la Rijksinspectie Digitale Infrastructuur (RDI) pour l'infrastructure numérique, les fournisseurs numériques, la gestion des services TIC, l'énergie et l'administration ; l'ILT pour les transports, l'eau et les produits chimiques ; la DNB pour la banque ; l'AFM pour les infrastructures de marché financier ; la NVWA pour l'alimentation. Le NCSC est le CSIRT pour la plupart des secteurs.
Délai de l'UE manqué, enregistrement via le portail néerlandais
Le délai de l'UE du 17 octobre 2024 est passé sans transposition néerlandaise. Depuis le 15 août 2026, les entités dans le périmètre doivent s'enregistrer dans le registre national des entités sur MijnNCSC (mijn.ncsc.nl), en se connectant avec eHerkenning, et signaler les changements sans délai et dans un délai de deux semaines. Les incidents importants sont notifiés au CSIRT et à l'autorité de surveillance dans les 24 heures (alerte précoce) et 72 heures (notification complète), conformément à l'Art. 23 NIS 2.
Le droit national suit votre lieu d'établissement
Une entité relève du pays où elle est établie. Seuls certains fournisseurs numériques (cloud, centres de données, prestataires de services managés, places de marché en ligne et similaires) relèvent du pays de leur établissement principal dans l'UE, et les fournisseurs de télécommunications relèvent de chaque pays où ils fournissent des services (Art. 26(1) NIS 2).
La directive est le socle, jamais le plafond
La Cbw ne peut pas descendre sous NIS 2. Elle peut être plus stricte sur les spécificités nationales (procédures de désignation, redevances, listes sectorielles). Pour les mesures de gestion des risques et la notification des incidents, le texte de l'UE et le CIR fixent le fond ; la loi néerlandaise ajoute l'habillage procédural.
Rijksinspectie Digitale Infrastructuur (RDI)
L'autorité de surveillance pour l'infrastructure numérique, les fournisseurs numériques, la gestion des services TIC, l'énergie, l'espace, la poste, la fabrication et l'administration. L'autorité compétente en droit est le ministre responsable. Successeur de l'Agentschap Telecom ; relève du ministère des Affaires économiques.
NCSC-NL (Nationaal Cyber Security Centrum)
CSIRT national relevant du ministère de la Justice et de la Sécurité. Reçoit les notifications d'incidents au titre de l'Art. 23, diffuse des avis sectoriels et coordonne avec l'ENISA et les autres CSIRT nationaux. Depuis le 1er janvier 2026, le Digital Trust Center fait partie du NCSC, qui est désormais le point de contact unique pour la résilience numérique et le CSIRT pour la plupart des secteurs de la Cbw. Il exploite le registre des entités sur MijnNCSC.
ENISA
Publie des orientations et des rapports techniques de mise en œuvre au niveau de l'UE. N'est pas un régulateur des entités néerlandaises. Sa Technical Implementation Guidance sur le CIR (avec des correspondances avec ISO 27001) est rédigée pour les fournisseurs numériques que couvre le CIR ; les autres entités peuvent s'en servir comme référence.
Le NIS 2 néerlandais reflète le BSIG allemand à l'identique.
Les deux transposent la même directive, mais les textes diffèrent. Les Pays-Bas conservent un modèle de régulateur sectoriel plus marqué et utilisent la RDI comme surveillant horizontal ; l'Allemagne canalise presque tout par le BSI. Les niveaux de sanction, les modalités d'enregistrement et les obligations de formation de la direction sont rédigés différemment. Lisez la Cbw pour ce qu'elle est, et non comme une traduction du BSIG.
Il n'existe pas encore d'obligation d'enregistrement néerlandaise, nous pouvons donc attendre.
L'Art. 3(4) NIS 2 impose à chaque État membre de tenir un registre et aux entités de fournir leurs données. L'enregistrement est obligatoire aux Pays-Bas depuis le 15 août 2026, sans période de grâce : les entités dans le périmètre s'enregistrent dans le registre national des entités sur MijnNCSC, que tient le ministre de la Justice et de la Sécurité (Art. 43 Cbw). Les changements doivent être signalés sans délai et en tout état de cause dans les deux semaines suivant la date du changement (Art. 44(2) Cbw).
Mon régulateur sectoriel gère tout, la RDI n'est pas pertinente.
La surveillance au titre de la Cbw est répartie par secteur : la DNB pour la banque, l'AFM pour les infrastructures de marché financier, l'ILT pour les transports, l'eau et les produits chimiques, la NVWA pour l'alimentation, et la RDI pour l'infrastructure numérique, l'énergie, l'administration et plusieurs autres secteurs. Pour les entités financières couvertes par DORA, DORA agit comme lex specialis en matière de cybersécurité, mais l'enregistrement NIS 2 au titre de l'Art. 3(4) s'applique toujours.
La plupart des entités néerlandaises dans le périmètre savaient déjà qu'elles le seraient. La Cbw s'applique depuis le 15 août 2026 sans période transitoire, donc deux choses comptent maintenant : l'enregistrement dans le registre des entités sur MijnNCSC, et toute communication de l'autorité de surveillance de votre secteur qui fixe le cadrage.
Sur le plan opérationnel, quatre devoirs constants s'appliquent au titre de la Cbw, qui transpose ces articles de l'UE : gouverner la sécurité avec une responsabilité de la direction (Art. 20), exécuter des mesures de gestion des risques (Art. 21), notifier les incidents importants dans le délai de 24 heures et de 72 heures (Art. 23), et s'enregistrer et tenir l'enregistrement à jour (Art. 3(4)).
- Directive (UE) 2022/2555 (NIS 2): EUR-Lex, JO L 333, 27 décembre 2022
- Règlement d'exécution (UE) 2024/2690 de la Commission du 17 octobre 2024
- Cyberbeveiligingswet (Cbw), loi du 8 juillet 2026, Staatsblad 2026, 187 ; Cyberbeveiligingsbesluit, Staatsblad 2026, 189
- Wbni: Wet beveiliging netwerk- en informatiesystemen (transposition de NIS 1, remplacée par la Cbw le 15 août 2026)
- Rijksinspectie Digitale Infrastructuur (RDI), rdi.nl, informations de surveillance NIS 2
- NCSC-NL, ncsc.nl, notification d'incidents et orientations CSIRT
- ENISA, NIS 2 Technical Implementation Guidance, version 1.0, juin 2025 (tableau de correspondance version 1.2, septembre 2025)
En pratique
Ce que la loi nationale change, et ce qu'elle ne change pas
La loi nationale détermine notamment où vous vous enregistrez et à qui vous notifiez les incidents. Les mesures elles-mêmes partent de la même liste minimale dans chaque État membre (art. 21 NIS 2). Le parcours guidé vous les fait suivre étape par étape :
Le parcours lui-même est en allemand et en anglais.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
On vous a confié NIS2 ?
Nous vous guidons pas à pas. Vous remplissez, nous expliquons chaque point en termes simples, et à la fin, la direction signe.
